将PFX证书转换为PEM/Key后NGINX加载失败问题求助

第一步：用正确的OpenSSL命令转换PFX #

PFX文件包含证书和私钥，需要分开导出：

1. 导出证书PEM文件（用于NGINX的ssl_certificate）：

openssl pkcs12 -in your_cert.pfx -nokeys -out cert.pem

执行时输入PFX的密码，生成的文件开头是-----BEGIN CERTIFICATE-----，这才是NGINX需要的格式，不要用TRUSTED CERTIFICATE开头的文件。

2. 导出并解密私钥（用于NGINX的ssl_certificate_key）：
   先导出加密的私钥：

openssl pkcs12 -in your_cert.pfx -nocerts -out encrypted_key.pem

输入PFX密码后，解密私钥（避免NGINX启动时需要手动输入密码）：

openssl rsa -in encrypted_key.pem -out decrypted_key.pem

第二步：配置NGINX并检查权限 #

在NGINX的server块里添加以下配置：

server {
    listen 443 ssl;
    server_name your_domain.com;

    ssl_certificate /path/to/cert.pem;
    ssl_certificate_key /path/to/decrypted_key.pem;

    # 其他SSL相关配置...
}

然后设置文件权限，确保NGINX进程能读取这两个文件：

chmod 600 /path/to/cert.pem /path/to/decrypted_key.pem
chown nginx:nginx /path/to/cert.pem /path/to/decrypted_key.pem

常见错误排查 #

• 验证PFX文件有效性：执行openssl pkcs12 -info -in your_cert.pfx，能正常输出证书和私钥信息说明文件未损坏
• 检查转换后的文件：打开PEM/Key文件，确认无乱码、多余空行，开头格式符合要求
• 不要混用文件：ssl_certificate必须指向证书文件，ssl_certificate_key必须指向私钥文件

内容的提问来源于stack exchange，提问作者Grant Sanders